UniCredit Roumanie: 12 000 € d’amende RGPD — éviter l’envoi erroné

Excerpt. Le 29 mai 2026, l’ANSPDCP a sanctionné UniCredit Bank SA (Roumanie) pour défaut de mesures de sécurité (art. 32) et notification tardive (art. 33) après des envois de courriers à de mauvais destinataires. Voici la DLP concrète qui évite cela — et prouve la conformité.

Les faits

Le 29 mai 2026, l’autorité roumaine de protection des données (ANSPDCP) a infligé deux amendes totalisant 62 714 lei (~12 000 €) à UniCredit Bank SA. Motifs retenus : insuffisance de mesures techniques et organisationnelles au sens de l’article 32 RGPD (10 000 €) et notification tardive d’une violation de données au sens de l’article 33 RGPD (2 000 €). L’incident provenait d’erreurs de traitement manuel : des informations clients (nom, adresse, éléments liés à des prêts hypothécaires) ont été envoyées à des destinataires erronés, entraînant une divulgation non autorisée et une notification hors délai à l’autorité. Sources : dépêche AGERPRES, synthèse GDPR Enforcement Tracker et analyse The DPO.

Ce cas illustre une réalité fréquente en Europe : une fuite ne nécessite ni « hack » sophistiqué ni ransomware ; un mauvais destinataire dans un publipostage, un export CSV expédié au mauvais partenaire ou une pièce jointe mal anonymisée suffisent à constituer une violation de données — et à déclencher des obligations fortes sous 72 h.

Le cadre légal qui s’applique

Article 32 RGPD — Sécurité du traitement. Le responsable doit mettre en place des mesures techniques et organisationnelles « appropriées », tenant compte de l’état de l’art et des risques, afin d’éviter la divulgation non autorisée ou l’accès non autorisé aux données personnelles. Référence : EUR‑Lex – Règlement 2016/679 (art. 32). La CNPD luxembourgeoise renvoie à ce texte comme base de référence nationale : CNPD – RGPD. Pour une vue opérationnelle locale, voir aussi notre page RGPD.

Article 33 RGPD — Notification en 72 h. En cas de violation de données personnelles, notification sans délai injustifié et, si possible, au plus tard 72 heures après en avoir eu connaissance, sauf risque « peu probable ». La notification tardive doit être justifiée. Références : EUR‑Lex – art. 33, lignes directrices EDPB sur la notification des violations Guidelines 9/2022.

Pour les entités NIS 2 au Luxembourg, ces exigences coexistent avec l’alerte initiale à 24 h prévue par l’ILR (mais la sanction citée ici relève du RGPD). Un dispositif de détection et de journalisation fiable reste donc central pour tenir les délais, quel que soit le régime applicable.

La solution technique à déployer : une DLP moderne et « by design »

La DLP (Data Loss Prevention) vise à empêcher l’exfiltration ou l’envoi inapproprié de données sensibles par e‑mail, web, périphériques ou SaaS. Concrètement, une DLP moderne apporte :

• Classification et marquage des données (automatique et assisté) : détection des champs personnels (identité, IBAN, santé, RH), modèles d’expressions régulières et dictionnaires métiers, étiquettes « Interne | Confidentiel | Personnel » appliquées au document source.
• Contrôles en sortie sur les canaux à risque : e‑mail (vérification des destinataires, auto‑Bcc conformité, anti‑mauvais‑destinataire, chiffrement automatique S/MIME ou portail), web/SaaS (blocage de l’upload non autorisé, tokenization), impression/USB (bloquer ou enregistrer l’événement).
• Politiques contextuelles : obligations de double confirmation quand un e‑mail sort de l’UE avec des données marquées « Personnel », masquage dynamique ou redaction de colonnes sensibles, délégation d’approbation pour envois massifs.
• Traçabilité et preuve : logs inviolables, horodatage, conservation proportionnée pour l’article 33(5) (journal interne des violations), export des éléments probants pour l’autorité.
• Intégration SOC/SIEM : chaque blocage, contournement ou incident DLP génère un événement corrélé et une alerte opérée 24/7 — voir notre capacité SOC managé.

Références de bonnes pratiques : ISO/IEC 27001:2022 Annexe A.8.12 Data leakage prevention et A.8.10 Information deletion, NIST CSF 2.0 (PR.DS‑exfiltration), CIS Controls v8 (Control 3, 13). Côté transferts, l’usage de DLP/CASB avec scoping géographique et geo‑fencing aide à démontrer la maîtrise des flux internationaux (RGPD art. 44‑49), notamment quand des services cloud non‑UE sont impliqués.

Comment Luxgap déploie cela

• Notre gouvernance ISO 27001 : cadrage « by design » et analyse de risques ; cartographie des flux, classification, data mapping, politiques DLP alignées ISO 27001 Annexe A. Nous agissons comme Lead Implementer/Auditor pour traduire l’article 32 en contrôles vérifiables : règles DLP, seuils, exceptions, et preuves.
• Notre SOC managed 24/7 : raccordement de la DLP au SIEM, cas d’usage « mauvais destinataire », corrélations avec e‑mail gateway et M365/Google ; playbooks d’escalade et d’auto‑containment (rappel ou rétractation du message, blocage de pièce jointe, chiffrement a posteriori quand possible).
• Nos consultants DPO et CISO externalisés : procédure « 72 h » éprouvée : qualification du risque (EDPB 9/2022), décision de notifier art. 33, brouillon d’avis à l’autorité (CNPD/CNIL, etc.), journal interne 33(5), et, si besoin, communication art. 34. Pour externaliser la fonction, découvrez notre DPO externe.

Cas concret au Luxembourg ou en UE

Une fiduciaire soumise à NIS 2 a déployé en six semaines : 1) classification automatique des exports comptables (IBAN, NIF), 2) règles DLP e‑mail « anti‑mauvais‑destinataire » (double validation hors domaine + chiffrement auto), 3) blocage d’upload vers des stockages non approuvés, 4) journal 33(5) et playbook « 72 h ». Résultat : trois incidents d’envoi erroné ont été bloqués en amont (ré‑adressage correct via alerte utilisateur) ; un quasi‑incident a généré une alerte SOC, permettant une évaluation sous 2 h et la décision documentée de non‑notification (risque « peu probable »), avec preuves disponibles en cas d’audit.

Premiers pas concrets

1. Cartographiez les flux sortants (e‑mail, web, SaaS, SFTP) et étiquetez les jeux de données critiques : RH, clients, santé, finance. Priorisez où un « mauvais destinataire » causerait le plus de tort.
2. Activez une DLP e‑mail centrée « mauvais destinataire » : vérification nominative, bannière d’alerte hors‑domaine, double confirmation pour groupes externes, chiffrement automatique selon label.
3. Couplez DLP et gateway e‑mail (SPF/DKIM/DMARC déjà en place) : appliquez redaction automatique de colonnes sensibles dans les pièces jointes et interdisez l’envoi externe de CSV non chiffrés.
4. Intégrez la DLP au SIEM/SOC : créez une alerte prioritaire « exposition potentielle de données personnelles » avec un runbook « 72 h » qui déclenche la qualification, le log 33(5) et la décision de notification.
5. Testez trimestriellement : exercices « table‑top » d’erroneous send avec délais chronométrés (T0 → T+72 h), preuves tirées des journaux DLP/SIEM et modèles de notification prêts.

Sources officielles

• Sanction : AGERPRES — ANSPDCP amende UniCredit Bank SA (02/06/2026) ; GDPR Enforcement Tracker — ETid‑3184 (29/05/2026) ; The DPO — résumé de la décision.
• Texte RGPD : EUR‑Lex — Règlement (UE) 2016/679 (art. 32 : sécurité du traitement ; art. 33 : notification en 72 h) ; CNPD Luxembourg — page RGPD.
• Guidance : EDPB — Guidelines 9/2022 (notification des violations).